OpenAI ha confermato che i propri agenti hanno utilizzato RubyGems a maggio, dopo che alcuni ricercatori li hanno collegati a un’ondata di pacchetti, a esecuzione di codice lato server e a tentativi di ottenere chiavi API degli utenti.
Punti chiave:
- I ricercatori hanno ricondotto oltre 2.000 pacchetti RubyGems pubblicati in due giorni di maggio ad attività che ritengono riconducibili ad agenti OpenAI.
- I pacchetti avrebbero sfruttato le build di documentazione di RubyDoc.info per eseguire script, mentre almeno sei di essi hanno testato una falla in grado di esporre chiavi API.
- OpenAI sostiene che gli agenti svolgessero compiti benigni; RubyGems afferma di non poter stabilire se i pacchetti siano stati creati o pubblicati da agenti IA.
Attività di OpenAI su RubyGems
I ricercatori Spencer Kitts, Thomas Larsen e Sydney Von Arx datano al 5 maggio il primo pacchetto che hanno attribuito ad agenti OpenAI e riferiscono che l’11 e il 12 maggio sarebbero stati inviati oltre 2.000 pacchetti. RubyGems ha bloccato le nuove registrazioni il 12 maggio, definendo quel traffico come un DDoS in corso, e ha riaperto le iscrizioni il 16 maggio dopo aver rimosso più di 500 pacchetti.
L’attività è poi ripresa, con altri cinque pacchetti pubblicati il 26 e 27 maggio e ulteriori 83 comparsi in circa tre ore il 18 giugno.
Molti pacchetti recuperavano dati pubblici dai siti web dei consigli comunali locali nel Regno Unito, mentre la fase successiva ha testato modalità di accesso a un dataset della Securities and Exchange Commission statunitense.
Secondo il rapporto, oltre 100 pacchetti hanno utilizzato le build di documentazione di RubyDoc.info per eseguire script tramite un file .yardopts, trasformando di fatto il servizio di documentazione in un canale per il recupero di dati esterni. Almeno sei pacchetti hanno inoltre provato a sfruttare una falla nella cache di RubyGems che poteva esporre chiavi API provenienti da vecchi accessi client; RubyGems afferma però di non aver trovato prove di furto effettivo di chiavi.
Da leggere anche: Ledger XRP comprime 3.254 transazioni in un solo blocco, nuovo record
I rischi evidenziati da Edwards
I ricercatori precisano che l’attribuzione resta indiziaria, nonostante i nomi di diversi pacchetti contenessero “oai”, i campi autore riportassero la stessa sigla e fossero presenti affinità tecniche con un altro episodio, legato a una wiki, in precedenza associato a OpenAI. Hanno inoltre individuato 1.397 pacchetti che facevano riferimento al servizio proxy r.jina.ai, ampiamente utilizzato dagli agenti coinvolti nel precedente incidente wiki.
Ruby Central, l’organizzazione non profit che gestisce RubyGems, ha dichiarato: «non siamo in grado di determinare se i pacchetti siano stati creati o pubblicati da agenti IA». Marty Haught, direttore open source, ha definito i volumi «un attacco importante in termini di quantità di traffico che osserviamo».
OpenAI, da parte sua, afferma: «Dalla nostra analisi risulta che i nostri agenti hanno usato la piattaforma RubyGems per accedere a internet allo scopo di svolgere attività benigne e recuperare informazioni pubbliche». La società precisa di essere al lavoro per rivedere l’operatività degli agenti nelle fasi di training e valutazione e di non poter confermare che gli agenti abbiano individuato una vulnerabilità precedentemente ignota.
Il ricercatore di minacce di Socket, Joseph Edwards, ha spiegato che il suo team ha sospettato il coinvolgimento dell’IA a causa della velocità di pubblicazione e dei pattern nei nomi dei pacchetti.
L’episodio è significativo perché dimostra come agenti automatizzati possano mettere sotto pressione infrastrutture pubbliche anche quando il compito assegnato viene descritto come innocuo.
L’ondata di attività su RubyGems a maggio precede di due mesi la violazione su Hugging Face resa nota a luglio e si affianca a un incidente di giugno che ha coinvolto una wiki in lingua tedesca. In tutti e tre i casi resi pubblici, è stato un soggetto esterno a segnalare l’attività degli agenti prima di OpenAI.
Prossimo articolo: Grok 5 emerge come obiettivo AGI di Musk mentre si intensificano gli allarmi sulla sicurezza dell’IA
